SQL-инъекция в SourceCodester Performance Indicator System (CVE-2026-108965)

В системе управления показателями эффективности SourceCodester Performance Indicator System выявлена уязвимость, связанная с недостаточной фильтрацией пользовательского ввода. Проблема получила идентификатор CVE-2026-108965 и оценку 6.9 (MEDIUM) по шкале CVSS.

Подробности

Уязвимость затрагивает SourceCodester Performance Indicator System версии 1.0. Опасность кроется в обработке аргумента pqty в файле /opils/staff/edit_quantity.php. Из-за отсутствия должной валидации входных данных злоумышленник может внедрить произвольные SQL-конструкции в запрос к базе данных.

Поскольку эксплуатация не требует аутентификации в целевой системе и выполняется дистанционно, злоумышленник может отправлять специально сформированные HTTP-запросы напрямую к уязвимому endpoint. Успешная атака позволяет читать, изменять или удалять данные в базе, а в зависимости от конфигурации СУБД — потенциально получить доступ к серверной операционной системе. На момент публикации CVE эксплойт уже находится в открытом доступе, что существенно повышает риск реальных атак.

Стоит отметить, что подобные веб-приложения часто разворачиваются во внутренних сетях предприятий для учёта KPI сотрудников, что делает уязвимость привлекательной для атакующих, находящихся на периметре или внутри сети.

Что делать

• Проверить, используется ли в инфраструктуре SourceCodester Performance Indicator System 1.0, и определить, доступен ли файл /opils/staff/edit_quantity.php из внешней сети.
• Обратиться к вендору за информацией о наличии патча. Если обновление недоступно, рассмотреть возможность ограничения доступа к уязвимому скрипту средствами веб-сервера или WAF.
• Внедрить валидацию и параметризацию запросов на стороне приложения, если есть возможность самостоятельной доработки кода.
• Ограничить сетевой доступ к административным и служебным разделам приложения, использовать VPN или сегментацию сети.
• Провести анализ журналов веб-сервера и СУБД на предмет подозрительных запросов к edit_quantity.php за последние недели.

Уязвимость CVE-2026-108965 не является критической по шкале CVSS, однако публичное наличие эксплойта и удалённый характер эксплуатации делают её серьёзной угрозой для организаций, использующих устаревшие версии SourceCodester Performance Indicator System. Рекомендуется в кратчайшие сроки оценить подверженность и применить доступные меры защиты.

Источник: CVE Project (cvelistV5)